2023 年卡巴斯基披露过一个案子，我觉得买硬件钱包的人都该知道：设备没插电脑，币还是被转走了，问题出在买到手之前。
受害人在一个二手分类信息网站买了台 Trezor Model T，盒子和机身上的防伪全息贴都完好。卡巴斯基拆开才发现：外壳是用胶水和双面胶粘的，主控芯片被焊换过，引导程序版本是官方从没发布过的。
改过的固件干了三件事：去掉签名校验，开机不报警；初始化或重置时，把随机生成的助记词换成固件里预存的 20 组之一；如果设了额外密码，只取第一个字符。所以重置也跳不出那 20 组，攻击者从一开始就知道私钥。交易记录显示，他们等了一个月才动手。
Trezor 回应确认这是第三方改装，并说这起供应链攻击发生在文章发布一年多以前。这不是正版 Trezor 被远程攻破，也不是新漏洞。
我不会只凭防伪贴判断安全，贴纸完好不代表里面的芯片和固件没被改过。Trezor 官方说明写的是，他们的设备出厂不带固件，也没有默认助记词，新机如果已经装了固件，要马上联系官方客服。这是 Trezor 自己的出厂规则，别的品牌不一定一样，得看各家官方说明。
卡巴斯基和 Trezor 给的主要建议，都是从官方渠道买，设备上的警告别忽略。来路不明的二手硬件钱包，我自己不会拿来存钱。